Onze strijd tegen geautomatiseerde fraude
Als je digitale producten verkoopt via Shopify, is de kans groot dat je dit gevoel al kent: er verschijnt een ordermelding en in plaats van de gebruikelijke kleine blijdschap zakt de moed je in de schoenen. Is dit een echte klant of weer een frauduleuze bestelling?
Dat was bij CraftedCharts gedurende het grootste deel van maart en april dit jaar de realiteit. Op het dieptepunt registreerden we bijna 380 frauduleuze bestellingen in één maand, waarvan er 13 uitmondden in volledige chargebacks. We willen je precies vertellen wat er gebeurde, wat we probeerden, wat niet werkte en wat uiteindelijk wel werkte, voor het geval je hier nu zelf mee te maken hebt.
Hoe de frauduleuze bestellingen begonnen
We begonnen een patroon te zien van duidelijk frauduleuze bestellingen die via onze winkel binnenkwamen. Kaartgegevens die niet overeenkwamen met het factuuradres. Bestellingen die binnen enkele minuten na elkaar werden geplaatst. Klanten die na hun 'aankoop' nooit één e-mail openden. Het liep zo hoog op dat we meerdere frauduleuze bestellingen per dag kregen.
We deden alles wat Shopify-support adviseerde. Fraudefilters, alle aanbevolen instellingen, alles. Niets maakte echt verschil. De support erkende het probleem, zei dat ze een intern team zouden inschakelen en vervolgens... bleef het stil. Er verstreken dagen zonder enige opvolging.
De tijdelijke oplossingen die niet echt werkten
Omdat er vanuit Shopify zelf geen hulp kwam, probeerden we de voor de hand liggende oplossingen:
-
Bestellingen handmatig controleren. We schakelden dit in, zodat er niets werd verzonden (of in ons geval: niets werd geleverd) zonder dat we het eerst persoonlijk hadden gecontroleerd. Het stopte het bloeden, maar betekende wel dat we elke dag, voor onbepaalde tijd, bestellingen moesten controleren en goedkeuren.
-
Internationale bestellingen blokkeren. Dit is een veelgehoord advies van Shopify, maar voor een winkel met digitale producten is het in feite nutteloos. Het heeft alleen invloed op verzending, en digitale goederen worden niet verzonden.
-
Elk product markeren als 'vereist verzending'. Deze truc duikt voortdurend op in Shopify-communityforums als oplossing om internationale blokkering ook op digitale producten toe te passen. We overwogen het, maar wezen het af. Met honderden producten in onze catalogus had het geen zin om alles opnieuw te labelen om een frauduleus probleem te repareren dat Shopify zelf zou moeten oplossen, en het zou niet het antwoord hoeven zijn.
We zochten ook buiten Shopify naar hulp. We namen contact op met verschillende freelancers op Upwork om te kijken of iemand met ervaring in fraudepreventie of Shopify-beveiliging een goede oplossing voor ons kon opzetten. Geen van hen kon daadwerkelijk bieden wat we nodig hadden. De reacties begrepen het specifieke probleem van fraude met digitale producten en door Tor/VPN aangestuurd botverkeer niet, of stelden dezelfde algemene instellingen voor die we zelf al hadden geprobeerd. Ook dat bleek een doodlopende weg.
Wat ons eerlijk gezegd het meest frustreerde, was dat Shopify bestellingen accepteerde waarbij het factuuradres duidelijk niet overeenkwam met de kaart: een verkeerde postcode, onvolledige velden, informatie die duidelijk niet klopte. Als zo'n eenvoudige mismatch geen rode vlag is voor het eigen systeem van Shopify, is dat een serieus probleem en niet iets waarvoor een individuele winkeleigenaar zelf moet opdraaien.
Besluiten te betalen voor een fraudepreventie-app
We wilden eigenlijk geen extra maandelijkse kosten maken om iets op te lossen dat volgens ons de verantwoordelijkheid van Shopify zou moeten zijn. Maar handmatige controle van bestellingen was niet vol te houden en de fraude nam niet af. Dus hakten we de knoop door en begonnen we speciale fraudepreventie-apps te testen. (Als je benieuwd bent wat onze volledige Shopify-appstack ons in totaal kost, en niet alleen de fraudepreventie, hebben we alles uitgesplitst in ons artikel Voor- en nadelen van Shopify.)
Eerste poging: Blockify
We installeerden Blockify en gebruikten de functie voor het blokkeren van landen, waarbij we aanvankelijk elk land behalve de VS blokkeerden. Het zag er veelbelovend uit: in de analyses zagen we binnen het eerste uur al een paar geblokkeerde bezoekers.
Toch kwam er een bestelling door. Toen we dit onderzochten, bleek dat de bezoeker Tor had gebruikt om het IP-adres te verbergen en te wijzigen. Simpele blokkering op basis van land of IP-adres zou dus niet volstaan. Blockify bood aan ons te upgraden naar het enterprise-abonnement (ongeveer $125 per jaar) voor Tor-detectie.
We begonnen een proefperiode van het hogere abonnement, maar de timing was slecht: precies toen we hulp nodig hadden, was de support vanwege het weekend niet beschikbaar. Erger nog, we ontdekten dat de bezoekersanalyses tijdens de proefperiode geen echte gegevens lieten zien, omdat we een proefabonnement gebruikten. We konden dus niet controleren of de tool werkte voordat we voor een volledig jaar moesten betalen. We zegden op in plaats van het risico te lopen te betalen voor iets waarvan we de effectiviteit niet konden bevestigen.
Tweede poging: een andere app
We gingen verder met een andere app voor het blokkeren van fraude, met een gratis proefperiode van 7 dagen en een lagere prijs dan het enterprise-abonnement van Blockify. Deze app liet vanaf dag één echte, betrouwbare analyses zien: daadwerkelijk geblokkeerde landen, daadwerkelijke VPN-/proxydetecties en echte bezoekerslogboeken die we zelf konden bekijken. We stelden de app zo in dat al het verkeer buiten de VS werd geblokkeerd en lieten Canada vervolgens expliciet weer toe, omdat we Canadese klanten de mogelijkheid wilden geven om te kopen.
Deze app ontdekte ook iets wat het dashboard van Blockify nooit duidelijk aan ons liet zien: het verschil tussen legitieme bezoekers uit de VS die een VPN gebruiken en frauduleus verkeer. We accepteerden dat een klein aantal echte Amerikaanse klanten met een VPN mogelijk zou worden geblokkeerd en besloten dat die afweging het waard was.
De enige wijziging die het probleem echt oploste
Dit is volgens ons het belangrijkste voor iedereen die hiermee te maken heeft: de grootste verbetering kwam niet door het blokkeren van landen of het detecteren van VPN's. Ze kwam door een suggestie die noch Shopify-support noch Blockify ooit had genoemd: een klantenaccount verplicht stellen om het afrekenen te voltooien.
Voor een winkel met digitale producten is dat sowieso logisch: met een klantenaccount kunnen kopers hun bestanden later opnieuw downloaden vanuit hun bestelgeschiedenis. Dat is dezelfde reden waarom klanten die bijvoorbeeld ons Businessplan voor vastgoed kopen, altijd kunnen terugkomen om hun bestand opnieuw op te halen zonder oude e-mails te hoeven doorzoeken. Maar deze instelling bleek ook verreweg het effectiefste middel tegen fraude dat we hebben ingevoerd. Wat voor geautomatiseerd proces de frauduleuze bestellingen ook plaatste, het was blijkbaar niet ingericht om een stap voor het aanmaken van een account af te handelen. Nadat we deze instelling hadden ingeschakeld, verdwenen de frauduleuze bestellingen vrijwel volledig.
In combinatie met de botblokkering en VPN-/proxydetectie van de nieuwe app gingen we van meerdere frauduleuze bestellingen per dag naar slechts een handvol gedurende een hele week en uiteindelijk naar meerdere opeenvolgende dagen zonder ook maar één frauduleuze bestelling.
Wat we andere Shopify-winkeleigenaren zouden adviseren
Als je digitale producten verkoopt en met hetzelfde probleem te maken hebt, zouden we op basis van onze eigen ervaring het volgende doen:
-
Maak een klantenaccount verplicht om af te rekenen. Dit kan op zichzelf al een groot deel van geautomatiseerde fraude filteren en is gratis.
-
Voeg een speciale app voor fraude- en botblokkering toe met echte, controleerbare analyses. Niet alleen blokkering op basis van land, maar specifiek ook VPN-, proxy- en botdetectie, omdat geavanceerd frauduleus verkeer eenvoudige IP- of landblokkades omzeilt.
-
Vertrouw niet op 'digitale producten markeren als vereisen verzending' als belangrijkste oplossing. Het is een tijdelijke oplossing voor een tekortkoming die Shopify zou moeten verhelpen, geen echte langetermijnoplossing, zeker niet bij een grote catalogus.
-
Blijf Shopify-support onder druk zetten, maar wacht niet op hen. We vinden nog steeds dat het accepteren van bestellingen met duidelijk niet-overeenkomende factuuradressen en kaartgegevens een serieus probleem aan de kant van Shopify is. We hebben het gemeld. We verwachten niet dat het snel wordt opgelost, dus we hebben er niet op gewacht.
Waar we nu staan
We houden de situatie nog steeds in de gaten, omdat frauduleus verkeer je opnieuw weet te vinden zodra je je waakzaamheid laat verslappen. Maar de combinatie van de verplichte accountstap en een goed werkende app voor bot- en VPN-blokkering heeft ons iets gegeven wat we in maart en april niet hadden: de mogelijkheid om onze winkel te runnen zonder hem meerdere keren per dag te hoeven controleren.
We blijven dit artikel bijwerken als er iets verandert, maar voorlopig is dit de opstelling die voor ons echt heeft gewerkt.
